Siti dei comuni vulnerabili? Ecco l'analisi di alcuni hacktivisti

La verifica sui siti fatta da mes3hacklab ha consentito di avere una visione chiara della sicurezza delle piattaforme che i nostri comuni utilizzano ogni giorno.

Ogni giorno il comune dove viviamo utilizza il proprio sito per questioni organizzative oppure per comunicare con i cittadini. Le piattaforme comunali spesso utilizzano i cosiddetti Cms, ovvero Content management system, che consentono a vari webmaster di gestire un sito senza necessariamente conoscere il linguaggio di programmazione. Il processo di apprendimento del linguaggio di programmazione precluderebbe la strada a moltissime persone che si sono avvicinate al web anche grazie all'impiego di Cms come Wordpress, Drupal o Joomla.

Questo sistema è sicuro? Mes3hacklab ha analizzato i domini e sottodomini di 7554 (su un totale di 7554) per verificare che i vari Cms utilizzati siano stati aggiornati. Infatti, affinché si possa avere piena protezione e il Cms possa bloccare intrusioni esterne è necessario che vengano effettuati gli aggiornamenti periodici programmati e consigliati dal fornitore del servizio.

Il dato che allarma maggiormente è che tra tutti i siti il 67% non ha il Cms aggiornato da oltre almeno un anno. Molte delle piattaforme utilizzano Wordpress, che è tra i Cms più diffusi in assoluto. Il problema è che la maggior parte ha ancora la versione del 2015, quindi di tre anni fa. Gli aggiornamenti sono stati totalmente ignorati, ciò consente agli hacker di poter sfruttare le varie falle di sistema che si sono scoperte negli anni. Una delle più famose è il "Rest-Api", che consente a chiunque entrare come admin in un sito con cms Wordpress e modificarne aspetto e contenuti. Questo tipo di vulnerabilità è stata utilizzata per attaccare oltre un milione e mezzo di siti nel mondo, sono state rilasciate tre versioni dal 2015 (oltre ai vari aggiornamenti intermedi) ma dai dati raccolti da mes3hacklab risulterebbe che il 37,62% dei siti analizzati viaggi ancora con queste vecchie versioni di Wordpress.

I sistemi che invece utilizzano come Cms Drupal sono ridotti anche peggio, oltre il 65% dei sistemi risulta non essere aggiornato e ciò comporta che molti domini istituzionali siano vulnerabili ad attacchi malware chiamati Drupalgeddon2, ovvero un sistema di attacco che consente all'hacker di ottenere in pieno contollo delle funzioni del sito.

Marco Mehanna ha spiegato le motivazioni che hanno spinto i ragazzi a fare questa ricerca:"Abbiamo realizzato questa ricerca nel tempo libero perché vogliamo contribuire a proteggere la vita digitale delle nostre città". Ha inoltre continuato, spiegando ai microfono di Agi che: "Le vulnerabilità che abbiamo riscontrato costituiscono un rischio concreto per le amministrazioni comunali: spesso i siti delle istituzioni condividono il server che li ospita con servizi cruciali sia ai cittadini sia interni agli uffici pubblici. Una vulnerabilità dei Cms potrebbe compromette anche archivi, anagrafi e catasti, oltre a dare la possibilità a un hacker di diffondere un virus tra i cittadini che su quei siti cercano informazioni e tra gli stessi dipendenti degli uffici pubblici".

Quindi è molto importante per i comuni tener conto anche di questo aspetto, essendo il sito di un comune anche un archivio a tutti gli effetti che bisogna aggionare per far rimanese sicuro, è come se si lasciasse un negozio apert.